GlobalProtect auf dem Mac verbindet beim Login: So ändern Sie das

Sie öffnen den Mac, und GlobalProtect ist bereits verbunden, oder es verbindet sich bei jeder Anmeldung erneut. Nichts in der App fragt Sie vorher. Die Einstellung, die das verursacht, liegt in der Agent-Konfiguration des Portals, nicht in Ihrem Benutzerkonto, und sie wird nicht in einer Datei gespeichert, die Sie bearbeiten sollen. Was Sie sehen, ist die Verbindungsmethode user-logon, die ihre Arbeit tut.

Zu wissen, welche Methode zugewiesen ist, sagt Ihnen, was Sie ändern können und was Sie beantragen müssen.

Das Symptom deutet auf die Richtlinie

Die Agent-Konfiguration des Portals entscheidet, wann GlobalProtect verbindet, und die beiden Methoden, zwischen denen Sie wählen, sind On-Demand, das auf Sie wartet, und User-logon (Always On), das nach der Anmeldung verbindet. Ein Portal kann auf unterstützten verwalteten Geräten auch Pre-logon (Always On) anbieten, was auf einem Mac, an dem Sie sich selbst anmelden, nicht infrage kommt. Ein Rechner, der von selbst verbindet, läuft fast immer auf user-logon. Die eigenen Einstellungen der App können den Zustand anzeigen, besitzen ihn aber nicht, weshalb ein Häkchen, das Sie im Client entfernen, die nächste Richtlinienaktualisierung nicht übersteht. Das Portal überträgt die Methode beim Verbinden und erneut bei jeder Aktualisierung, eine Änderung auf Clientseite ist also konstruktionsbedingt vorübergehend.

Die Richtlinie gewinnt, jedes Mal.

Die beiden Methoden im Vergleich

On-Demand, das die App möglicherweise noch als manual bezeichnet, bedeutet, dass Sie auf Verbinden klicken und vorher nichts verbindet. User-logon bedeutet, dass der Tunnel hochkommt, nachdem Sie sich am Mac authentifiziert haben, was die meisten verwalteten Flotten wollen, weil es das Fenster beseitigt, in dem jemand ungeschützt surft. Der Kompromiss ist genau das Symptom, das Sie bemerkt haben: Der Tunnel existiert, bevor Sie entschieden haben, dass Sie ihn wollen. Keine der beiden Methoden ändert, was der Tunnel erreichen darf; sie entscheiden nur, wann er hochkommt.

Wenn Ihre Arbeit eine On-Demand-Verbindung braucht, ist das ein Antrag auf eine Richtlinienänderung, keine Einstellungsänderung.

Wenn das Ziel eine vorübergehende Trennung ist

Einige Bereitstellungen bieten eine Disconnect-Steuerung in der App an, und Palo Alto Networks dokumentiert sie im Mac Disconnect-Leitfaden für App-Version 6.0 und später. Sie erscheint nur, wenn die Agent-Konfiguration sie zulässt. Diese Konfiguration kann auch einen Grund, einen Zugangscode oder ein Helpdesk-Ticket verlangen, und sie kann begrenzen, wie lange oder wie oft Sie getrennt bleiben.

Schließen Sie diesen Ablauf ab, statt den Dienst zu stoppen. Ihn zu stoppen sieht wie eine Trennung aus und verhält sich wie ein Richtlinienverstoß.

Das Trennen eines erzwungenen Tunnels bringt Ihren Datenverkehr auch zurück auf den normalen Netzwerkpfad, was man sich merken sollte, während man ein Captive Portal debuggt.

Was das Bearbeiten des launch agent kaputt macht

Der übliche Workaround ist, die RunAtLoad- oder KeepAlive-Schlüssel des launch agent oder eine private Portaleinstellung zu bearbeiten, damit die App nicht startet. Es kann funktionieren, bis zur nächsten Richtlinien- oder App-Aktualisierung. Dann stimmen App und verwaltete Richtlinie nicht mehr überein, was einen Zustand erzeugt, über den der Support nicht schlussfolgern kann. Außerdem bleibt der Rechner in einer Konfiguration, die die Organisation nie genehmigt hat.

Ein Startfenster zu verbergen ist wieder eine andere Anfrage, und dafür gibt es eine eigene unterstützte Oberflächeneinstellung.

Was Sie genau beantragen sollten

Fordern Sie On-Demand beim Namen an, oder einen genehmigten Disconnect-Ablauf mit seinen Bedingungen, oder eine unterstützte Möglichkeit, das Anmeldefenster zu unterdrücken. Vage Anfragen werden mit der falschen beantwortet, und dann sind Sie wieder beim Bearbeiten von plists. Nennen Sie auch die App-Version, die Sie verwenden, denn die Disconnect-Steuerung ist erst ab 6.0 dokumentiert.

Wenn die Disconnect-Option fehlt oder die App sofort wieder verbindet, nehmen Sie die zugewiesene Agent-Konfiguration mit zur IT und fragen Sie, welche Methode für Ihre Gruppe gilt.